Lois sur l’IA en Californie : qui doit s’y conformer, et quand

L’essentiel

• Les lois sur l’IA en Californie ne forment pas un code unique : c’est un empilement de lois ciblées et de règlements d’agences, dont une douzaine s’appliquent déjà aux entreprises en 2026.
• Vos obligations dépendent de votre rôle : développeur de modèle de frontière, fournisseur d’IA générative, opérateur de chatbot, employeur, entreprise soumise au CCPA, plateforme ou fournisseur de l’État.
• La prochaine échéance ferme tombe le 1er janvier 2027, avec les règles CCPA sur la prise de décision automatisée et les nouvelles obligations des plateformes.
• Le gouverneur Gavin Newsom a signé quatre nouveaux textes sur l’IA les 9 et 10 septembre 2026, et une trentaine d’autres attendent sa décision jusqu’au 30 septembre 2026.
• L’offensive fédérale contre les lois des États n’a, à ce jour, fait tomber aucune loi californienne : mieux vaut s’y conformer avec des contrôles réutilisables ailleurs.

Les lois sur l’IA en Californie ne visent plus seulement les grands laboratoires de la Silicon Valley. Un distributeur qui trie des candidatures, une banque qui note des emprunteurs, un groupe média qui génère des images ou une start-up qui exploite un chatbot compagnon peuvent relever, chacun, d’un texte, d’un régulateur et d’un calendrier différents. Pour une entreprise européenne qui vend aux États-Unis ou y emploie du personnel, la difficulté n’est pas de lire une loi, mais d’en repérer une dizaine et de savoir laquelle s’applique à quel système. Ce guide classe les lois sur l’IA en Californie par rôle et par date : ce qui est déjà opposable, ce qui s’applique au 1er janvier 2027, ce qui a été signé en septembre 2026, ce qui reste en suspens, et comment bâtir un seul référentiel de contrôles valable aussi pour le Colorado, le Texas et l’AI Act européen. Les faits ont été vérifiés le 11 septembre 2026.

Les lois sur l’IA en Californie en un coup d’œil : un empilement, pas un code

La Californie a tenté une seule fois la voie d’une grande loi transversale. En septembre 2024, Gavin Newsom a opposé son veto au SB 1047, qui imposait des tests de sécurité et un « bouton d’arrêt » aux plus grands modèles. Un an plus tard, il signait son successeur, beaucoup plus étroit, le SB 53, pendant que le Parlement de l’État continuait de légiférer usage par usage. Le régime qui en résulte repose sur trois couches :

1. Les lois votées par le Parlement de l’État et appliquées surtout par l’Attorney General, parfois avec une action privée ouverte aux victimes.
2. Les règlements d’agences, au premier rang desquels ceux de la California Privacy Protection Agency (CPPA) sur la technologie de décision automatisée (ADMT) et ceux du Civil Rights Council sur les systèmes de décision automatisée en matière d’emploi.
3. Les décrets du gouverneur, comme le N-5-26 sur les achats publics d’IA, qui lient l’administration et, par contrat, ses fournisseurs.

La cartographie réglementaire d’AI Sigil recense pour la Californie environ 35 instruments et 110 obligations distinctes. La plupart des entreprises n’en rencontrent qu’une poignée. Le tableau ci-dessous reprend les lois sur l’IA en Californie qui touchent le plus grand nombre d’acteurs. <table header-row= »true »> <tr> <td>Texte</td> <td>Qui est visé</td> <td>Statut</td> <td>Contrôle et sanction</td> </tr> <tr> <td>SB 53, loi sur la transparence de l’IA de frontière</td> <td>Développeurs de modèles de frontière</td> <td>En vigueur depuis le 1er janvier 2026</td> <td>Attorney General, jusqu’à 1 million de dollars par infraction</td> </tr> <tr> <td>AB 2013, transparence des données d’entraînement</td> <td>Développeurs d’IA générative proposée aux Californiens</td> <td>En vigueur depuis le 1er janvier 2026</td> <td>Attorney General</td> </tr> <tr> <td>SB 942 modifié par AB 853, California AI Transparency Act</td> <td>Fournisseurs d’IA générative de plus d’un million d’utilisateurs mensuels ; plateformes à partir de 2027</td> <td>Applicable depuis le 2 août 2026</td> <td>Attorney General et juristes locaux, 5 000 dollars par infraction et par jour</td> </tr> <tr> <td>SB 243, chatbots compagnons</td> <td>Opérateurs de chatbots compagnons</td> <td>En vigueur depuis le 1er janvier 2026</td> <td>Action privée, 1 000 dollars par infraction</td> </tr> <tr> <td>Règlements CCPA sur l’ADMT et les évaluations de risques</td> <td>Entreprises soumises au CCPA</td> <td>En vigueur le 1er janvier 2026 ; conformité ADMT au 1er janvier 2027</td> <td>CPPA et Attorney General, jusqu’à 7 500 dollars par infraction</td> </tr> <tr> <td>Règlements FEHA sur les systèmes de décision automatisée</td> <td>Employeurs d’au moins cinq salariés et leurs mandataires</td> <td>En vigueur depuis le 1er octobre 2025</td> <td>Civil Rights Department et actions en justice</td> </tr> <tr> <td>AB 316</td> <td>Quiconque développe, modifie ou utilise une IA</td> <td>En vigueur depuis le 1er janvier 2026</td> <td>Juridictions civiles</td> </tr> </table> La vue d’ensemble mondiale figure dans notre carte de conformité des lois sur l’IA. Ici, nous restons sur les lois sur l’IA en Californie, dont le vrai défi est la cadence.

Quelles lois sur l’IA en Californie vous concernent ? Le tri par rôle

Beaucoup d’équipes conformité abordent les lois sur l’IA en Californie par la liste des textes. C’est l’inverse qui fonctionne : partir de son rôle, car chaque texte est écrit autour d’un acteur et d’un déclencheur précis.

• Développeur de modèle de frontière. Vous avez entraîné, ou lancé l’entraînement, d’un modèle de fondation au-delà de 10\^26 opérations en virgule flottante : le SB 53 s’applique. Si votre chiffre d’affaires annuel dépasse aussi 500 millions de dollars, vous êtes un « grand » développeur, avec des obligations supplémentaires. Brookings estime que cinq à huit entreprises sont concernées. Voir ce qu’est un frontier model.
• Fournisseur d’IA générative. Votre générateur d’images, de vidéo ou d’audio est accessible au public en Californie et dépasse un million de visiteurs ou d’utilisateurs mensuels : le California AI Transparency Act s’applique. Et quel que soit votre volume, publier un système d’IA générative pour les Californiens déclenche l’obligation de documentation de l’AB 2013.
• Opérateur de chatbot compagnon. Votre agent conversationnel offre des réponses adaptatives, quasi humaines, capables d’entretenir une relation : le SB 243 s’applique dès aujourd’hui, et le SB 1119 y ajoute des audits de sécurité des enfants à partir de 2027.
• Employeur. Vous comptez au moins cinq salariés et utilisez un système de décision automatisée pour recruter, promouvoir, rémunérer ou licencier : les règlements FEHA s’appliquent, et l’éditeur de l’outil peut être traité comme votre mandataire. Notre guide sur l’IA dans le recrutement les compare avec New York, le Colorado, l’Illinois et l’Union européenne.
• Entreprise soumise au CCPA. Vous franchissez les seuils du CCPA et utilisez l’ADMT pour une décision importante concernant des consommateurs, des candidats ou des salariés : les règles de la CPPA s’appliquent au 1er janvier 2027.
• Acteur de santé. Le SB 1120 encadre l’IA dans le contrôle des prises en charge, l’AB 3030 impose des mentions sur les communications générées par IA et l’AB 489 interdit à une IA de laisser croire à une qualification de soignant.
• Grande plateforme ou hébergeur. À partir du 1er janvier 2027, l’AB 853 impose la détection des données de provenance et interdit d’héberger sciemment des générateurs non conformes.
• Fournisseur de l’État. Le décret N-5-26 du 30 mars 2026 demande aux administrations d’intégrer des certifications des fournisseurs d’IA dans les marchés publics (Ropes & Gray).
• Tout le monde. L’AB 316 interdit d’invoquer « l’IA a agi seule » comme moyen de défense au civil, et le SB 1001 oblige toujours un bot à se déclarer lorsqu’il sert à vendre ou à influencer un vote.

Ne pas avoir de siège en Californie ne protège pas. Les lois sur l’IA en Californie s’attachent aux utilisateurs, aux consommateurs et aux salariés situés dans l’État : un fournisseur français avec des utilisateurs californiens peut être concerné sans y avoir le moindre bureau.

Ce qui s’applique déjà : les textes opposables aujourd’hui

Parmi les lois sur l’IA en Californie, cinq instruments concentrent l’essentiel des obligations d’une entreprise type. Chacun a son déclencheur, son régulateur et ses pièces justificatives.

SB 53, la loi sur la transparence de l’IA de frontière

Signé le 29 septembre 2025 et en vigueur depuis le 1er janvier 2026, le SB 53 transforme des engagements volontaires en engagements publiés. Un grand développeur doit publier un cadre de gestion des risques de frontière, aligné sur les normes nationales et internationales et révisé au moins une fois par an. Tout développeur de frontière publie un rapport de transparence à chaque sortie d’un modèle nouveau ou substantiellement modifié. Les incidents critiques de sécurité sont signalés à l’Office of Emergency Services dans les 15 jours de leur découverte, ou dans les 24 heures en cas de risque imminent de mort ou de blessure grave. Les canaux d’alerte interne et la protection des lanceurs d’alerte sont obligatoires, et l’Attorney General peut réclamer jusqu’à 1 million de dollars par infraction, selon Brookings. Le « risque catastrophique » est défini de façon étroite : mort ou blessure grave d’au moins 50 personnes, plus d’un milliard de dollars de dommages, aide experte à la fabrication d’armes chimiques, biologiques, radiologiques ou nucléaires, ou modèle échappant au contrôle de son développeur. Pour un lecteur européen, l’équivalent le plus proche est le chapitre Sécurité et sûreté du code de bonnes pratiques GPAI, qui s’applique dès 10\^25 FLOP : un cadre déjà tenu pour l’Union couvre l’essentiel du SB 53.

AB 2013, la transparence des données d’entraînement

Depuis le 1er janvier 2026, le développeur d’un système ou service d’IA générative proposé aux Californiens doit publier sur son site une documentation de ses données d’entraînement : sources et titulaires des jeux de données, types de données, présence d’œuvres protégées ou de données personnelles, recours à des données synthétiques, périodes de collecte et traitements de nettoyage. L’obligation remonte aux systèmes publiés ou substantiellement modifiés depuis le 1er janvier 2022, avec une mise à jour avant chaque modification substantielle. xAI a attaqué le texte, qu’elle accuse de détruire ses secrets d’affaires et de la contraindre à parler ; le 4 mars 2026, un juge fédéral a refusé la suspension demandée, et l’affaire se poursuit (IAPP). Parmi les lois sur l’IA en Californie, c’est la plus proche d’une obligation européenne : le résumé public des contenus d’entraînement exigé des fournisseurs de modèles d’IA à usage général par l’article 53 de l’AI Act.

SB 942 et AB 853, le California AI Transparency Act

Le texte est applicable depuis le 2 août 2026, l’AB 853 ayant repoussé la date initiale du 1er janvier 2026. Un fournisseur couvert, c’est-à-dire un système d’IA générative accessible au public en Californie, produisant des images, de la vidéo ou de l’audio et dépassant un million de visiteurs ou d’utilisateurs mensuels, doit :

• proposer un outil public et gratuit de détection indiquant si un contenu provient de son système ;
• offrir à l’utilisateur une mention visible, permanente ou extrêmement difficile à retirer ;
• intégrer dans chaque contenu une mention latente identifiant le fournisseur, le système, sa version et la date de création ;
• imposer contractuellement aux licenciés de préserver ces mentions, et révoquer la licence dans les 96 heures après la découverte d’un manquement.

À partir du 1er janvier 2027, les grandes plateformes devront détecter et afficher les données de provenance, et les hébergeurs ne pourront plus proposer sciemment des générateurs non conformes ; les fabricants d’appareils de capture suivront le 1er janvier 2028. La sanction atteint 5 000 dollars par infraction, chaque jour comptant séparément (Morgan Lewis). La logique rejoint celle du marquage imposé par l’article 50 de l’AI Act : une seule chaîne de provenance peut servir les lois sur l’IA en Californie et le régime européen.

SB 243, les chatbots compagnons

En vigueur depuis le 1er janvier 2026, le SB 243 impose aux opérateurs de chatbots compagnons d’indiquer que l’agent est artificiel lorsqu’une personne raisonnable pourrait s’y tromper, de tenir des protocoles de détection des idées suicidaires avec orientation vers des services de crise, et de publier ces protocoles. Face à un utilisateur dont ils savent qu’il est mineur, les opérateurs signalent l’usage de l’IA, rappellent au moins toutes les trois heures de faire une pause et prennent des mesures raisonnables contre les contenus sexuellement explicites. À partir du 1er juillet 2027, un rapport annuel est adressé à l’Office of Suicide Prevention. Toute personne lésée peut réclamer le plus élevé de son préjudice réel ou de 1 000 dollars par infraction (Mayer Brown).

Les règlements FEHA sur les systèmes de décision automatisée

Depuis le 1er octobre 2025, les règlements du Civil Rights Council rendent illicite l’usage d’un système de décision automatisée discriminatoire sur un critère protégé, que la discrimination soit intentionnelle ou résulte d’un effet disproportionné. L’employeur conserve quatre ans les données du système : descripteurs des jeux de données, scores produits, conclusions d’audit. Les tests anti-biais, ou leur absence, pèsent comme élément de preuve, et l’éditeur qui agit pour le compte de l’employeur peut être traité comme son mandataire (Jackson Lewis). Cette règle, rare parmi les lois sur l’IA en Californie, fait de l’évaluation des fournisseurs une nécessité juridique, plus seulement une bonne pratique.

Les règles CCPA sur l’ADMT : l’échéance du 1er janvier 2027

Les règlements de la CPPA sur l’ADMT, les évaluations de risques et les audits de cybersécurité ont été approuvés le 22 septembre 2025 et sont entrés en vigueur le 1er janvier 2026, mais leurs obligations les plus lourdes arrivent par paliers. L’ADMT désigne toute technologie qui traite des données personnelles pour remplacer, ou remplacer en substance, la décision humaine. Lorsqu’une entreprise l’utilise pour une décision importante, c’est-à-dire relative au crédit ou aux services financiers, au logement, à l’éducation, à l’emploi ou à la santé, elle doit, au plus tard le 1er janvier 2027 :

• remettre une information préalable expliquant la finalité, le fonctionnement de la technologie et les droits de la personne ;
• proposer un droit d’opposition, sauf exception, par exemple l’existence d’un recours auprès d’un examinateur humain ;
• répondre aux demandes d’accès sur la logique de l’ADMT et l’usage fait de son résultat.

Une évaluation des risques est exigée avant tout traitement présentant un risque important : vente ou partage de données personnelles, traitement de données sensibles, recours à l’ADMT pour une décision importante, inférences automatisées tirées d’une observation systématique, ou entraînement d’une ADMT. Les traitements commencés avant 2026 et poursuivis doivent être évalués au plus tard le 31 décembre 2027, et une première attestation accompagnée d’une synthèse doit parvenir à la CPPA avant le 1er avril 2028. Les évaluations sont conservées tant que dure le traitement ou cinq ans après leur réalisation, selon la durée la plus longue (Morrison Foerster). Viennent ensuite les audits annuels de cybersécurité, avec des premières certifications au 1er avril 2028 pour les entreprises de plus de 100 millions de dollars de chiffre d’affaires, en 2029 entre 50 et 100 millions, et en 2030 en deçà. Chaque infraction coûte jusqu’à 7 500 dollars. De toutes les lois sur l’IA en Californie, c’est celle qui a le plus de chances de toucher un groupe européen, car les seuils du CCPA reposent sur le chiffre d’affaires et le volume de données, pas sur l’usage de l’IA. Bonne nouvelle : une AIPD menée selon la méthode de la CNIL couvre une large part du terrain, tout comme une analyse d’impact IA. Construisez le modèle une fois et réutilisez-le.

Ce que Newsom a signé en septembre 2026, et ce qui reste en suspens

La session parlementaire 2026 s’est close le 31 août avec une trentaine de textes liés à l’IA transmis au gouverneur, qui a jusqu’au 30 septembre 2026 pour les signer ou y opposer son veto. Un texte laissé sans décision devient loi sans sa signature (Transparency Coalition). Quatre textes ont été signés la semaine où ce guide a été écrit, et ils déplacent les lois sur l’IA en Californie de la transparence vers la vérification par des tiers. Signés le 9 septembre 2026. Le SB 813 crée un cadre pour des organismes de vérification indépendants chargés d’évaluer la conformité des systèmes et modèles d’IA au droit de l’État. L’AB 1405 crée un registre public des auditeurs d’IA assorti de règles d’indépendance, de transparence et d’intégrité ; selon la presse, l’inscription deviendra obligatoire pour les audits couverts à partir de 2029 (cabinet du gouverneur). Ensemble, ils créent le marché de l’assurance par des tiers, là où les preuves d’audit IA seront mises à l’épreuve. Signés le 10 septembre 2026. Le SB 1119 renforce les règles des chatbots compagnons pour les enfants : évaluation annuelle et documentée des risques pour les mineurs, outils de contrôle parental, audits indépendants de sécurité dont le rapport est transmis à l’Attorney General sous 90 jours, rapport public de l’Attorney General à partir de 2028 et action ouverte aux enfants et à leurs parents. Le SB 867 impose un moratoire de quatre ans sur les jouets intégrant un chatbot compagnon pour les moins de 16 ans (CalMatters). Sauf mention contraire, une loi californienne entre en vigueur le 1er janvier suivant : tablez sur le 1er janvier 2027. Encore en suspens au 11 septembre 2026. Parmi les textes qui compléteraient les lois sur l’IA en Californie et attendent encore une décision :

• le SB 947, dit « No Robo Bosses Act » : interdiction de s’en remettre uniquement à un système automatisé pour sanctionner ou licencier, avec revue humaine et information du salarié (entrée en vigueur proposée au 1er juillet 2027) ;
• l’AB 1609 : information du consommateur face aux chatbots de service client des grandes entreprises ;
• le SB 1000 et l’AB 2713 : modifications du California AI Transparency Act pour les fournisseurs et les plateformes ;
• le SB 503, l’AB 2575, l’AB 1979 et le SB 903 : IA dans l’aide à la décision clinique, les soins et la psychothérapie ;
• le SB 951 et l’AB 1883 : IA dans les préavis de licenciement collectif et la surveillance au travail ;
• le SB 574 : obligations des avocats qui utilisent l’IA générative.

Les dates proposées pour chaque texte figurent dans la synthèse de fin de session de Wiley. Traitez cette liste comme une liste de veille, à revoir après le 30 septembre.

Le calendrier des lois sur l’IA en Californie, de 2025 à 2030

Les dates ci-dessous transforment les lois sur l’IA en Californie en outil de planification. Tout ce qui précède la date du jour est déjà opposable. La loi remaniée du Colorado vise elle aussi le 1er janvier 2027, comme l’explique notre guide sur la loi du Colorado sur l’IA : c’est la cible naturelle d’un programme multi-États. <table header-row= »true »> <tr> <td>Date</td> <td>Ce qui s’applique</td> <td>Qui</td> </tr> <tr> <td>1er octobre 2025</td> <td>Règlements FEHA sur les systèmes de décision automatisée</td> <td>Employeurs d’au moins cinq salariés</td> </tr> <tr> <td>1er janvier 2026</td> <td>SB 53, AB 2013, SB 243, AB 316, AB 489 ; règlements CCPA, évaluations de risques pour les nouveaux traitements</td> <td>Développeurs de frontière et d’IA générative, opérateurs de chatbots, entreprises CCPA</td> </tr> <tr> <td>2 août 2026</td> <td>Obligations principales du California AI Transparency Act</td> <td>Fournisseurs d’IA générative de plus d’un million d’utilisateurs mensuels</td> </tr> <tr> <td>30 septembre 2026</td> <td>Date limite de décision du gouverneur sur les textes en suspens</td> <td>Liste de veille</td> </tr> <tr> <td>1er janvier 2027</td> <td>Information, opposition et accès ADMT ; obligations des plateformes et hébergeurs (AB 853) ; entrée en vigueur attendue des SB 1119, SB 867, SB 813 et AB 1405</td> <td>Entreprises CCPA, plateformes, opérateurs de chatbots, fabricants de jouets</td> </tr> <tr> <td>1er juillet 2027</td> <td>Premier rapport annuel SB 243 à l’Office of Suicide Prevention</td> <td>Opérateurs de chatbots</td> </tr> <tr> <td>31 décembre 2027</td> <td>Évaluations de risques des traitements commencés avant 2026</td> <td>Entreprises CCPA</td> </tr> <tr> <td>1er janvier 2028</td> <td>Mentions sur les appareils de capture ; premier rapport annuel de l’Attorney General sur les audits SB 1119</td> <td>Fabricants d’appareils, opérateurs de chatbots</td> </tr> <tr> <td>1er avril 2028</td> <td>Attestation des évaluations de risques ; premières certifications d’audit de cybersécurité</td> <td>Entreprises CCPA de plus de 100 millions de dollars de chiffre d’affaires</td> </tr> <tr> <td>2029</td> <td>Inscription des auditeurs d’IA (AB 1405, selon la presse) ; audits de cybersécurité des entreprises intermédiaires</td> <td>Auditeurs ; entreprises de 50 à 100 millions de dollars</td> </tr> <tr> <td>1er avril 2030</td> <td>Audits de cybersécurité des plus petites entreprises</td> <td>Entreprises CCPA de moins de 50 millions de dollars</td> </tr> </table>

La question de la préemption fédérale : se conformer malgré tout

Le 11 décembre 2025, Donald Trump a signé le décret présidentiel 14365. Il a créé au sein du ministère de la Justice une AI Litigation Task Force, installée le 9 janvier 2026, chargée d’attaquer les lois des États sur l’IA, demandé au département du Commerce de recenser les lois jugées « excessives » avant le 11 mars 2026, conditionné une partie des fonds fédéraux BEAD pour le haut débit à cet examen, et appelé le Congrès à préempter les règles des États (King & Spalding). Les lois sur l’IA en Californie étaient au cœur de ce débat. Pour les lois sur l’IA en Californie, l’effet concret reste limité. La première action de la Task Force a été de rejoindre, en avril 2026, le recours de xAI contre la loi du Colorado, une affaire dépassée quand le Colorado a réécrit son texte en mai. Aucune action fédérale contre une loi californienne sur l’IA n’avait été signalée à la mi-2026, et le Congrès n’a pas adopté de moratoire. Deux arguments plaident pour la conformité. Plusieurs des lois sur l’IA en Californie ouvrent une action privée (SB 243, SB 1119, FEHA) qui ne dépend pas de l’Attorney General. Et un décret ne peut pas abroger une loi d’État : seuls le Congrès ou un juge peuvent l’écarter. Gavin Newsom a d’ailleurs présenté ses signatures de septembre comme une réponse au vide fédéral. Pour une équipe conformité, la posture raisonnable consiste à se conformer, à documenter et à garder des contrôles transposables, pour qu’un changement dans un État modifie une correspondance et non tout un programme. Notre guide sur la loi TRAIGA traite le versant texan de la même question.

Un seul référentiel de contrôles pour la Californie, le Colorado, le Texas et l’AI Act

Une entreprise présente aux États-Unis et en Europe n’a pas besoin d’un programme californien, d’un programme coloradien et d’un programme européen. Elle a besoin d’un seul référentiel de contrôles, avec des correspondances par juridiction. Le tableau montre comment les principales lois sur l’IA en Californie s’articulent avec l’AI Act. <table header-row= »true »> <tr> <td>Contrôle</td> <td>Ancrage californien</td> <td>Ancrage AI Act</td> </tr> <tr> <td>Inventaire des systèmes d’IA avec étiquettes de juridiction</td> <td>Périmètre de chaque loi californienne</td> <td>Article 6 (classification), article 49 (enregistrement)</td> </tr> <tr> <td>Information, opposition et revue humaine des décisions automatisées</td> <td>Règles CCPA sur l’ADMT, règlements FEHA</td> <td>Article 26(11) (information), article 86 (explication)</td> </tr> <tr> <td>Provenance et marquage des contenus</td> <td>SB 942 et AB 853</td> <td>Article 50(2)</td> </tr> <tr> <td>Transparence des chatbots et des bots</td> <td>SB 243, SB 1001</td> <td>Article 50(1)</td> </tr> <tr> <td>Tests de biais et traçabilité des décisions</td> <td>Règlements FEHA, conservation quatre ans</td> <td>Article 10, articles 12 et 26(6) (journaux)</td> </tr> <tr> <td>Cadre de sécurité et signalement d’incidents</td> <td>SB 53</td> <td>Article 55, article 73</td> </tr> <tr> <td>Résumé des données d’entraînement</td> <td>AB 2013</td> <td>Article 53(1)(d)</td> </tr> <tr> <td>Évaluation des risques ou d’impact</td> <td>Évaluations de risques CCPA, SB 1119</td> <td>Article 9, article 27</td> </tr> <tr> <td>Clauses fournisseurs et licenciés</td> <td>Obligations des licenciés SB 942, règle du mandataire FEHA</td> <td>Article 25 (chaîne de valeur)</td> </tr> </table> Le Colorado et le Texas trouvent leur place dans les mêmes lignes que les lois sur l’IA en Californie. Le SB 26-189, signé en mai 2026, a transformé la loi du Colorado en régime d’information sur les décisions automatisées à compter du 1er janvier 2027, couvert par la ligne « information ». La loi texane TRAIGA, en vigueur depuis le 1er janvier 2026, est surtout une liste d’interdictions fondées sur l’intention, plus des obligations de transparence pour les administrations, couvertes par l’inventaire et un filtre des usages interdits. C’est le modèle qu’applique AI Sigil : 28 cadres réglementaires sur quatre régions, Californie comprise, rattachés à une seule bibliothèque d’obligations.

Le dossier de preuves : les documents exigibles

Chacune des lois sur l’IA en Californie produit des documents qu’un régulateur, un juge ou un plaignant peut exiger. Désignez un responsable pour chacun avant la première demande. <table header-row= »true »> <tr> <td>Document</td> <td>Texte</td> <td>Délai ou conservation</td> </tr> <tr> <td>Cadre de gestion des risques de frontière et rapports de transparence</td> <td>SB 53</td> <td>Cadre révisé au moins chaque année ; rapport à chaque sortie ; éléments occultés conservés cinq ans</td> </tr> <tr> <td>Signalements d’incidents critiques</td> <td>SB 53</td> <td>15 jours, ou 24 heures si le risque est imminent</td> </tr> <tr> <td>Documentation des données d’entraînement</td> <td>AB 2013</td> <td>Avant publication et avant chaque modification substantielle</td> </tr> <tr> <td>Spécification des mentions latentes, outil de détection, clauses de licence, journal des révocations</td> <td>SB 942 et AB 853</td> <td>En continu ; révocation sous 96 heures</td> </tr> <tr> <td>Nombre d’orientations vers les services de crise et protocoles de prévention du suicide</td> <td>SB 243</td> <td>Rapport annuel à partir du 1er juillet 2027</td> </tr> <tr> <td>Entrées, sorties, scores et audits de biais des systèmes de décision</td> <td>Règlements FEHA</td> <td>Quatre ans</td> </tr> <tr> <td>Informations ADMT, journaux d’opposition et d’accès</td> <td>Règlements CCPA</td> <td>À partir du 1er janvier 2027</td> </tr> <tr> <td>Évaluations de risques</td> <td>Règlements CCPA</td> <td>Durée du traitement ou cinq ans, selon la plus longue</td> </tr> <tr> <td>Évaluations des risques pour les mineurs et rapports d’audit</td> <td>SB 1119</td> <td>Annuelles ; rapport à l’Attorney General sous 90 jours</td> </tr> </table> Les signalements d’incidents méritent le plus d’attention : le délai du SB 53, comme celui de l’article 73 de l’AI Act, court à compter de la découverte. Pour les systèmes à haut risque, notre guide sur les systèmes d’IA à haut risque détaille la logique européenne.

Un plan en 90 jours pour les lois sur l’IA en Californie

Jours 1 à 30 : inventaire et périmètre. Recensez chaque système d’IA, repérez ceux qui touchent des utilisateurs, des consommateurs ou des salariés californiens, et notez votre rôle pour chacun selon le tri ci-dessus. La plupart des organisations découvrent à ce stade des outils non déclarés ; notre guide sur le shadow AI couvre cette étape. Jours 31 à 60 : combler les écarts du 1er janvier 2027. Rédigez les informations préalables ADMT, construisez le circuit d’opposition et d’accès, menez les évaluations de risques que déclenche l’ADMT et vérifiez la détection de provenance si vous hébergez des contenus. Les opérateurs de chatbots doivent cadrer dès maintenant les audits SB 1119 : le marché des auditeurs créé par le SB 813 et l’AB 1405 sera vite saturé. Jours 61 à 90 : preuves et veille. Attribuez un responsable à chaque document du dossier de preuves, fixez des dates de revue et tenez une veille sur les textes en suspens jusqu’au 30 septembre et sur les contentieux fédéraux. Rattachez vos contrôles à un référentiel reconnu comme le NIST AI RMF, la norme nationale la plus évidente pour l’alignement que le SB 53 exige des cadres de frontière.

Questions fréquentes

La Californie a-t-elle une loi sur l’IA comparable à l’AI Act européen ? Non. Les lois sur l’IA en Californie sont des textes ciblés, comme le SB 53, l’AB 2013, le SB 942 et le SB 243, complétés par des règlements de protection des données au titre du CCPA et des règles anti-discrimination au titre du FEHA. Le seul projet transversal, le SB 1047, a fait l’objet d’un veto en 2024. Conséquence pratique : il n’existe pas de test de périmètre unique, et l’applicabilité se vérifie texte par texte, à partir de votre rôle. Les lois sur l’IA en Californie s’appliquent-elles aux entreprises européennes ? Dans la plupart des cas, oui. Elles visent les utilisateurs, les consommateurs et les salariés situés en Californie, pas le lieu d’immatriculation de l’entreprise. Un fournisseur européen d’IA générative comptant plus d’un million d’utilisateurs mensuels californiens, ou un employeur qui trie ses candidats californiens avec un outil automatisé, peut être concerné sans établissement sur place. Quelles lois sur l’IA en Californie s’appliquent aux employeurs ? Trois ensembles comptent. Les règlements FEHA sur les systèmes de décision automatisée, en vigueur depuis le 1er octobre 2025, interdisent les résultats discriminatoires et imposent quatre ans de conservation. Les règles CCPA sur l’ADMT exigent information, opposition et accès pour les décisions importantes en matière d’emploi à partir du 1er janvier 2027. Le SB 947, en attente jusqu’au 30 septembre 2026, interdirait de s’en remettre uniquement à un système automatisé pour sanctionner ou licencier. Quand les règles CCPA sur l’ADMT s’appliquent-elles ? Les règlements sont entrés en vigueur le 1er janvier 2026, mais une entreprise qui utilise déjà l’ADMT pour des décisions importantes doit se conformer aux exigences ADMT au plus tard le 1er janvier 2027. Les évaluations de risques des traitements antérieurs à 2026 sont dues le 31 décembre 2027, avec une première attestation à la CPPA avant le 1er avril 2028. Quelles lois sur l’IA en Californie ont été signées en septembre 2026 ? Le 9 septembre 2026, Gavin Newsom a signé le SB 813, sur les organismes de vérification indépendants, et l’AB 1405, qui crée un registre des auditeurs d’IA. Le 10 septembre, il a signé le SB 1119, sur la sécurité des enfants face aux chatbots compagnons avec audits indépendants, et le SB 867, un moratoire de quatre ans sur les jouets à chatbot compagnon pour les moins de 16 ans, aux côtés de plusieurs lois sur la sécurité des mineurs en ligne. Le gouvernement fédéral peut-il écarter les lois sur l’IA en Californie ? Seuls le Congrès ou un juge peuvent écarter une loi d’État. Le décret 14365 a créé une cellule du ministère de la Justice chargée d’attaquer les lois des États sur l’IA et lié certains financements fédéraux à leur examen, mais à la mi-2026 aucune action fédérale contre une loi californienne sur l’IA n’avait été signalée et le Congrès n’avait pas voté de moratoire. Les actions privées ouvertes par le SB 243, le SB 1119 et le FEHA ne dépendent pas de l’État.

Conclusion

Les lois sur l’IA en Californie récompensent les entreprises qui cessent de les lire texte par texte. Leurs obligations se ramènent à quelques gestes : informer, évaluer, conserver, tester les biais, signaler les incidents. Ces mêmes gestes se retrouvent au Colorado, au Texas et dans l’AI Act. La prochaine échéance, le 1er janvier 2027, est assez proche pour être planifiée maintenant et assez lointaine pour être tenue si l’inventaire démarre ce trimestre. AI Sigil cartographie les lois sur l’IA en Californie aux côtés de l’AI Act et de 26 autres lois nationales et fédérées sur l’IA, dans une seule bibliothèque d’obligations : une nouvelle signature devient une mise à jour de correspondance, pas un nouveau projet. Si vous cadrez vos obligations au titre des lois sur l’IA en Californie, commencez par l’inventaire et le calendrier ci-dessus, et revoyez la liste des textes en suspens après le 30 septembre.